Code for Security プロジェクト紹介 2026年10月

Transcript

1. Code for Security｜シビックテック、OSSのためのセキュリティプロジェクト 専門家のいない現場に、 守りのルーティンを。 小さなチームでも、守りを入れて、回し続けられるように。 2026年10月
2. Code for Security エンジニアが数人、ひとりでも、どんどんつくれるようになった。 でも、セキュリティは つい後回しになってしまう。 やろうとすると、調べることも、設定することも、意外と多い。 そして、うっかりミスひとつで、情報が漏れてしまうこともある。 社会を良くしたくてつくったサービスが、人に迷惑をかけてしまうかもしれない。 2 / 11
3. Code for Security 3 / 11 情報漏えいのニュースが、毎日のように流れてくる。 攻撃は、AIで手軽になった。 守りは、まだ手間がかかる。 調べて、選んで、設定する 毎回、ゼロから 攻撃する側は、AIで手間をかけずに何度も試せる。 やるべきことは、標準としてもう決まっている。 守る側は、いまもここから。時間も労力もかかる。 なのに、チームごとに同じ作業をくり返している。 攻撃が手軽になったなら、守りも同じだけ手軽にしたい。
4. Code for Security 4 / 11 「何から、どこまで」で、 もう迷わないように。 定番ツールをつなぎ込んだキットをつくり、プロジェクトに組み込むのをAIが手伝う。 1日あれば入れられて、あとは毎月回すだけ。 01 02 03 04 守る範囲を決める キットを組み込む 定期的に診断する 見つかった穴を直す Gitleaks、CodeQL、Semgrep、Trivy、ZAP、Strix など既存のOSSを使います。 Claude Code、Cursor、Codex など、どのAIエージェントでも使える形で配ります。
5. Code for Security 5 / 11 わたしたちが、やらないこと。 01 診断エンジンは、つくらない 世界中のOSSが育ててきたツールに乗る。車輪の再発明はしない。 02 診断を、請け負わない 依頼を受けての診断や、安全の保証はしない。道具と手順を配る。 03 「これで安心」とは、言わない 目指すのは基本の守りを入れて、穴に気づける状態。完璧は約束しない。
6. Code for Security 6 / 11 入れて終わりではなく、回り続ける状態へ。 その先 入れっぱなしではなく、 回り続ける 半年後 セキュリティが、 標準装備になる 2か月後｜12月12日 1日で、 基本の守りを入れられる 目安：基本の守りを 入れたプロジェクトの数 03 目安：かかった時間 02 01 目安：診断が続いている割合、 見つけてから直すまでの日数 めざす姿 市民がつくった サービスを、 安心して使える 目安：導入した現場の声
7. Code for Security 7 / 11 どんな関わり方でも 、歓迎です。 いっしょに育てる みんなで見回る 直すところまで届ける 個人で コードや手順書を書く。 試して、感想を伝える。 余ったAIのトークンで、 OSSを見て回り、知ら せる。 修正PRを書く。 企業で 協賛する。 社内の専門家が、 手順をレビューする。 お世話になっているOSS の見守り担当になる。 修正資金を出す。
8. Code for Security 8 / 11 Code for Securityならではの関わり方 ① 使っているOSSを、 みんなで見回る。 ゴミ拾いと同じで、気づいた有志が少しずつ見て回れば、街はきれいになる。 個人で 企業で 余ったAIのトークンで、見回る OSSの見守り担当になる 使い切れなかったAIの利用枠で、OSSのコードを見て回る。 自社が使っているOSSの見守り担当になる。 人の目で確かめてから、そっと知らせる。 社員が参加するパトロールの日を、定期的に開く。 見るのは公開されたコードだけで、動いているサービスには手を出しません。知らせるのは公開のIssueではなく、非公開の窓口へ。 最初の見回り先は、シビックテックプロジェクトや、普段お世話になっているOSSを検討しています。
9. Code for Security 9 / 11 Code for Securityならではの関わり方 ② 見つけたら、 直すところまで届ける。 報告だけを送ると、OSSを支える人の負担になる。だから、直すためのお金と手もいっしょに届ける。 01 02 03 見つける 直す 届ける 人の目で確かめた穴を、 メンテナが直すか、有志が 直したメンテナに。PRなら、 非公開の窓口から知らせる 修正PRを書いてレビューを受ける 書いた人とレビューした人に支払う 金額は深刻度ごとに決まった額で、マージされたときに支払う方法などを検討中。 Code for Japanが今年はじめた、OSSへの寄付の延長です。
10. Code for Security イベント開催 10 / 11 2026年12月12日（土）予定 年末は、みんなで セキュリティの大掃除。 キットv1をお披露目して、プロジェクトを持ち寄り、その場でいっしょにセットアップする日。 シビックテック 個人開発 OSS Sakepedia、支援みつもりやどかりくん データベースや認証を持ちはじめたサー みんなが使っているライブラリやツール じぶんごとプラネット など ビス、バイブコーディングアプリ
11. Code for Security 11 / 11 Join us ともに、守りをつくろう。 CfJ コミュニティ Slack GitHub 話してみる 貢献する 進め方の相談や、見つけたことの Issueやプルリクエスト大歓迎 共有を気軽にしてみてください。 です。 cfj.slack.com/archives/C0C88D10FS6 github.com/codeforjapan/code4security